SGB WordPress Uyarısı: Güncelleme Yetmez, Kayıtları İnceleyin

Siber Güvenlik Başkanlığı, saldırılarda kullanılan WordPress Core açığı (CVE-2026-87902) için 16 Ekim 2026'da TR-26-1350 kodlu ayrıntılı güvenlik duyurusu yayımladı. Başkanlık, siteleri 7.1.2 veya kullanılan dalın düzeltilmiş sürümüne yükseltmenin tek başına yetmeyeceğini bildirdi. 22 Eylül 2026'dan sonra internete açık ve savunmasız kalan sistemlerin web kayıtlarının geriye dönük incelenmesi isteniyor.

WordPress ekibi açığı 22 Eylül 2026'da yayımlanan WordPress 7.1.2 sürümüyle kapatmıştı. Patchstack saha raporu, yamadan saatler sonra başlayan aktif sömürü girişimlerini ortaya koymuştu. SGB, yayımladığı ayrıntılı bildirimle sistem yöneticilerine sunucudaki olası saldırı izlerini kontrol etme çağrısı yaptı.

Açık ne yapıyor

Sorun bir eklentide değil, WordPress'in temel yazılımında (Core) sayfa şablonu seçimini yapan bölümde. Saldırgan, kimlik doğrulaması gerekmeden WordPress'i tema klasörleri dışındaki okunabilir bir PHP dosyasını açmaya yönlendirebiliyor. Uygun tema ve sunucu yapılandırması bir araya geldiğinde hedef sistemde uzaktan kod yürütülebiliyor.

Sömürü için bazı ön koşullar gerekiyor. Etkin temada adı "page-" ile başlayan bir dizin bulunması, sunucuda erişilebilir yerel bir PHP dosyasının yer alması ve kamuya açık yöntemlerde pearcmd.php ile register_argc_argv ayarının açık olması bu şartlar arasında sayılıyor. Twenty Twelve, Twenty Fourteen, Neve, Hestia ve Sydney gibi temalar örnek gösteriliyor; SGB bunun, bu temaların her sürümünün otomatik olarak kod yürütmeye açık olduğu anlamına gelmediğini belirtiyor.

Açık, WordPress'in değerlendirmesinde CVSS v4.0'a göre 9,2 puan aldı. ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA) ise CVSS v3.1 puanını 8,1 olarak verdi ve açığı 25 Eylül 2026'da Bilinen Sömürülen Zafiyetler (KEV) kataloğuna ekledi. Açığın EPSS değeri 14 Ekim 2026 itibarıyla yüzde 39,98; bu değer saldırı kanıtı değil, istismar olasılığı tahmini.

Ne yapılmalı

Sistem yöneticilerinin öncelikli olarak WordPress 7.1.2 sürümüne geçmesi öneriliyor. Eski dallarda kalan sistemler için 7.0.6, 6.9.9, 6.8.10 ve en eski 4.7.37 gibi geriye dönük düzeltilmiş sürümler bulunuyor. Güncellemenin yerini tutmamakla birlikte şu geçici önlemler alınabiliyor:

• WAF ve ters vekil katmanında pagename parametresindeki kodlanmış dizin geçişi değerlerini (%2e%2e, %252e%252e) engellemek.
• Web ortamında ihtiyaç duyulmuyorsa register_argc_argv seçeneğini kapatmak.
• Kullanılmayan PEAR bileşenlerini sistemden kaldırmak veya erişimini sınırlamak.
• Web sunucusunun ve PHP süreçlerinin dizin yazma yetkilerini daraltmak.
• İnternete açık WordPress sitelerinin envanterini çıkarmak, güncellenene kadar erişimi sınırlamak ve kayıtları korumak.

Saldırı izleri

SGB, 22 Eylül 2026 saat 11:49 UTC (TSİ 14:49) sonrasına ait web sunucu kayıtlarının taranmasını öneriyor. İncelemelerde şu göstergeler öne çıkıyor:

• pagename parametresi içinde kodlanmış ../ değerleri veya aynı istekte pagename ile page_id parametrelerinin birlikte gönderilmesi.
• Web isteklerinde pearcmd, +config-show veya +config-create ifadelerinin yer alması.
• /tmp ve /var/tmp dizinleri altında oluşturulmuş şüpheli PHP dosyaları.
• wp-pear-rce-flag.php, poc87902.php, luci_ veya zeta_ ön ekiyle başlayan rastgele dosya adları.

Sunucuda bu tür dosyalar tespit edilirse sistem yalnızca güncellenip bırakılmamalı; olası bir yetkisiz erişim vakası olarak ayrıntılı incelemeye alınmalıdır.

Kaynaklar

• SGB Güvenlik Bildirimi (TR-26-1350)
• WordPress Güvenlik Danışması (GHSA-7hp8-65ch-5whp)
• WordPress 7.1.2 Sürüm Notu
• CISA KEV Kataloğu (CVE-2026-87902)
• CVE Kaydı (CVE-2026-87902)
• Patchstack Saha Raporu

Kapak görseli (temsili): WordPress 10. yıl rozetleri / Lisa Risager, Wikimedia Commons, CC BY-SA 2.0 (kırpıldı, 1200×675 uyarlandı).